Chrome 80 разрешает небезопасный SameSite = Нет куки - PullRequest
Новая
       12

Chrome 80 разрешает небезопасный SameSite = Нет куки

2 голосов
/ 07 февраля 2020

Я недавно обновился до Chrome 80 и включил новую политику SameSite для файлов cookie в chrome://flags. При локальном развитии мой серверный фреймворк настроен на испускание файлов cookie аутентификации с атрибутом SameSite=None. В настоящее время у меня не включен SSL.

Теперь мне интересно, почему Chrome позволяет это делать, так как, если я правильно понял политику, все SameSite=None куки должны быть безопасно, независимо от среды?

enter image description here

enter image description here

1 Ответ

2 голосов
/ 07 февраля 2020

Да, вы сможете установить SameSite=None только с Secure. Итак, я думаю, что если у вас нет SSL в вашей среде разработки, вы не должны устанавливать ни один из этих атрибутов.

Новое поведение исходит из обоих:

  • chrome://flags/#same-site-by-default-cookies
  • и chrome://flags/#cookies-without-same-site-must-be-secure

Вы можете проверить, поддерживает ли ваш браузер полное поведение на https://samesite-sandbox.glitch.me

...